Configure resource groups - Function Compute - Centro de documentación de Alibaba Cloud

Utilice los resource groups para organizar sus recursos de Function Compute (FC) de manera más eficiente. Los resource groups le permiten agrupar recursos por dimensiones como departamento, proyecto o entorno. En combinación con Resource Access Management (RAM), los resource groups le ayudan a aislar recursos y gestionar permisos detallados dentro de una sola cuenta de Alibaba Cloud.

Casos de uso

Una empresa crea varias funciones en una sola cuenta de Alibaba Cloud y necesita otorgar a distintos equipos acceso a grupos específicos de funciones. Cada equipo solo debe poder consultar y gestionar las funciones para las que tiene autorización.

Por ejemplo:

El equipo de desarrollo solo puede gestionar las funciones relacionadas con el entorno de desarrollo.
El equipo de operaciones solo puede gestionar las funciones relacionadas con el entorno de producción.

Beneficios

Usar resource groups para otorgar permisos sobre las funciones ofrece los siguientes beneficios:

Gestión simplificada de permisos: gestione los permisos de varias funciones de forma centralizada mediante resource groups. Esto elimina la necesidad de otorgar permisos para cada función de manera individual.
Organización clara de recursos: los resource groups proporcionan una vista intuitiva de sus recursos, lo que simplifica su gestión y mantenimiento.
Control de acceso flexible: ofrecen un control de acceso detallado basado en resource groups.
Aislamiento seguro: cada equipo solo puede acceder a los resource groups autorizados, lo que garantiza el aislamiento de los recursos.

Notas de uso

Un resource group puede contener recursos de distintas regiones.
Si no especifica un resource group al crear un recurso, este se agrega al resource group predeterminado.
Los subrecursos de una función, como un alias, un trigger o una configuración asíncrona, heredan las reglas de control de acceso de dicha función.
Un usuario de RAM debe seleccionar el resource group correcto en la consola para consultar y gestionar las funciones correspondientes.
Asegúrese de que la región seleccionada por el usuario de RAM coincida con la región de las funciones del resource group.

Procedimiento

Este ejemplo muestra cómo crear un resource group para un equipo de desarrollo y otorgarle permisos para consultar y gestionar únicamente funciones específicas.

Paso 1: Crear un usuario y un grupo de RAM

Use su cuenta de Alibaba Cloud para completar los siguientes pasos:

Inicie sesión en la consola de RAM para crear un usuario de RAM, por ejemplo, developer.

Para obtener más información, consulte Create a RAM user.
Cree un grupo de usuarios de RAM, por ejemplo, developer, y agregue a este grupo el usuario de RAM que acaba de crear.

Para obtener más información, consulte Create a RAM user group y Add a RAM user to a RAM user group.

Nota

Un usuario de RAM hereda todos los permisos de los grupos de usuarios de RAM a los que pertenece.

Paso 2: Crear un resource group

Inicie sesión en la consola de Resource Management y cree un resource group, por ejemplo, dev. Para obtener más información, consulte Create a resource group.

Paso 3: Agregar funciones al resource group

Agregue una función a un resource group cuando la cree. Para obtener más información, consulte Create a function. Para agregar una función existente a un resource group, siga estos pasos:

Inicie sesión en la consola de Function Compute. En el panel de navegación izquierdo, elija Function Management > Functions.
En la barra de navegación superior, seleccione una región. En la página Functions, haga clic en la función de destino.
En la página de detalles de la función, haga clic en la pestaña Configuration. En la sección Advanced Settings > More Configurations, haga clic en el ícono junto al resource group.
En el cuadro de diálogo Modify Resource Group, seleccione el resource group que creó en Step 2 y luego haga clic en Confirm.

También puede agregar funciones a un resource group desde la consola de Resource Management. Para obtener más información, consulte Manage resources in a resource group.

Paso 4: Otorgar permisos al grupo de usuarios

Inicie sesión en la consola de RAM. En el panel de navegación izquierdo, elija . En la columna Actions del grupo de usuarios de destino, haga clic en Add Permissions.
En el panel Attach Policy, establezca Scope en Resource Group, seleccione el resource group de destino, elija una política como AliyunFCFullAccess en la sección Policy y luego haga clic en OK.

Importante
Como práctica recomendada de seguridad, aplique el principio de mínimo privilegio (PoLP). Cree una política personalizada que otorgue únicamente los permisos obligatorios para que el usuario de RAM realice su trabajo. Para obtener más información, consulte Create a custom policy.

Paso 5: Comprobar el resultado

Inicie sesión en la consola de Function Compute como el usuario de RAM. En el panel de navegación izquierdo, elija Function Management > Functions.

Para obtener información sobre cómo iniciar sesión en la consola como usuario de RAM, consulte Log on to the Alibaba Cloud Management Console as a RAM user.
En la barra de navegación superior, seleccione la misma región que la función de Step 3 y luego seleccione el resource group dev.

El usuario de RAM debe seleccionar el resource group correspondiente para consultar las funciones de la lista. De lo contrario, la lista aparecerá vacía.
En la página Functions, consulte y gestione las funciones del resource group seleccionado. Intente cambiar a otros resource groups para comprobar que no puede ver las funciones de aquellos a los que no tiene autorización de acceso.

Configuraciones de autorización adicionales

Crear una política personalizada

Para tener un control más detallado sobre los recursos de Function Compute, como capas y dominios personalizados, cree una política personalizada para sus usuarios de RAM. Este enfoque se alinea con el principio de mínimo privilegio (PoLP).

Inicie sesión en la consola de RAM con su cuenta de Alibaba Cloud y create a custom policy llamada FCPolicyForDevelopers mediante el siguiente documento de política:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "log:Get*",
        "log:List*",
        "log:Query*",
        "log:CreateProject",
        "log:CreateLogStore",
        "log:CreateIndex"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "fc:GetLayerVersionByArn",
        "fc:ListLayers",
        "fc:PutLayerACL",
        "fc:ListLayerVersions",
        "fc:CreateLayerVersion",
        "fc:DeleteLayerVersion",
        "fc:GetLayerVersion"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "fc:ListCustomDomains",
        "fc:GetCustomDomain",
        "fc:DeleteCustomDomain",
        "fc:UpdateCustomDomain",
        "fc:CreateCustomDomain"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "ram:ListRoles",
      "Resource": "*"
    }
  ]
}

Otorgue la política personalizada FCPolicyForDevelopers al grupo de usuarios de RAM developer creado en el paso 1.

Para obtener más información, consulte Grant permissions to a RAM user group.

Permisos para otros servicios de Alibaba Cloud

Si sus funciones necesitan acceder a otros servicios de Alibaba Cloud, también debe otorgar los permisos obligatorios para dichos servicios. Algunos ejemplos incluyen la política del sistema AliyunLogFullAccess para Simple Log Service (SLS), AliyunOSSFullAccess para Object Storage Service (OSS) y AliyunNASFullAccess para File Storage NAS.

Para obtener más información, consulte Policies and examples.

Function Compute:Configure resource groups